Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

攻撃者がメール転送設定を変更、受信した個人情報が外部に - 立命館大

立命館大学が主催する国際研修の応募者に関する個人情報が外部に流出した。フィッシングメールによりアカウント情報が奪われ、受信メールが外部に転送されるよう設定が変更されたという。

歴史都市防災研究所が主催する2018年ユネスコチェア国際研修「文化遺産と危機管理」に、海外から応募した264人分の個人情報が外部へ流出したもの。氏名や所属組織の住所、電話番号、生年月日、性別、現職、学歴、職務経験、国籍などが含まれる。

同大によれば、研修への申し込みを受け付けるために用意したメールアカウントにおいて、4月24日に「未読メールが13通残っている」などと記載されたマイクロソフトの通知を装うフィッシングメールを受信。

同研究所の職員が誤ってメールに記載されたURLへアクセスし、誘導先の「Office365」を装ったページよりアカウント情報を入力してしまったという。

攻撃者は奪ったアカウント情報でログインし、同メールアカウントで受信したメールを外部に転送するよう設定を変更。期間中に、応募者の個人情報リストが添付されたメールや、応募者の参加申請書や履歴書などのメールを同アカウントで受信したことから外部へ不正に転送された。

さらに転送されたメールの一部には、参加申請書や履歴書を保管していたクラウドサービスにおける共有フォルダのURLを記載。パスワードなしに共有フォルダへアクセスできる状態だったため、応募者264人のうち、共有フォルダに保存されていた261人分の参加申請書や履歴書についても取得された可能性がある。

今回の問題を受け、同大では関係者に対して、メールで事情を説明し、謝罪を行った。

また問題のアカウントは、今回の研修用に用意したものであり、不正にログインされたものの、転送されたメール以外の情報漏洩はないと同大では説明。ログから不正なログインは1回のみであることも判明しており、スパムメールを送信するための踏み台などに悪用された形跡もなかったとしている。

(Security NEXT - 2018/05/18 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

職員と部署のメールアカウントに不正アクセス、メール漏洩やスパム送信など - 明大
会員のメアドとPWを外部で確認、原因不明 - ジャパンレンタカー
「シャレード文庫」メルマガ会員のアカウント情報が流出 - 二見書房
フィッシング攻撃でアカウント乗っ取り、メールが不正転送 - 弘前大
教職員アカウントに不正アクセス、メールが外部へ転送 - 沖縄県立看護大
宿泊予約サイトの情報流出、原因はバックドア - 施設にGDPRの通知支援なども
島根大の複数職員がフィッシング被害 - スパム送信やメールの不正転送が発生
マニュアル作成サービスに不正アクセス、一部データが流出 - 原因は調査中
約9年前に会員アカウント情報が流出か - 東芝産業機器システム
アカウント情報3.7万件が海外サイト上に流出 - キルフェボン